2025年5月，麒麟勒索软件组织入侵Covenant Health网络，窃取了478,188名患者的姓名、地址、出生日期、医疗记录号、社保号、保险及治疗信息。攻击导致缅因州两家医院及新罕布什尔州一家医院服务中断，实验室只能处理纸质订单。组织在除夕向受害者发送通知并提供一年信用监控服务，调查显示黑客在5月18日至26日间拥有系统访问权限，已向联邦执法部门报案。2024年底，麒麟组织公开声称此攻击，并持续针对美国、市政机构及多国政府实施勒索。

研究人员发现，巴基斯坦关联的APT36（Transparent Tribe）发起针对印度政府和高校的网络间谍行动。攻击者通过钓鱼邮件投递伪装成PDF的ZIP文件，部署ReadOnly和WriteOnly两款恶意软件，实现远程控制、数据外泄、截屏、剪贴板监控及远程桌面等持续监视功能，并可能劫持加密货币交易。该活动显示出对受信任Windows组件的滥用、无文件多阶段执行等技术演进，同时与另一巴基斯坦威胁组织Cosmic Leopard有关联。

Covenant Health 将其 2025 年5月的网络泄露受害人数从最初的7,864人修正为478,188人，约接近48万患者。Qilin 勒索软件组织在6月声称实施了攻击，窃取了852 GB、约135万文件的数据。泄露信息包括姓名、地址、出生日期、医疗记录号、社保号、保险信息及治疗细节。Covenant Health 已委托第三方取证，持续审查并加强系统安全，向受影响者提供12个月免费身份保护服务，并于12月31日开始邮寄泄露通知信。

欧洲监管机构正考虑对 X 平台采取行动，因为其 AI 工具 Grok 被用于生成未成年人的色情深度伪造图像，引发法国检察官介入并加入对 X 的调查。英国计划全面禁止包括 AI 在内的“去衣化”工具，并依据《网络安全法案》对平台施以重罚。欧盟此前已对 X 处以 1.2 亿欧元罚款，双方在言论自由和监管合规上争执不断。美国监管机构警告遵守欧盟、英国产规可能触犯美国法律。

索赔管理公司 Sedgwick 确认其面向政府的子公司 Sedgwick Government Solutions 在除夕夜受到新兴勒索软件团伙 TridentLocker 的攻击，约 3.4 GB 数据被窃取。公司已启动事件响应程序，聘请外部网络安全专家调查受影响的隔离文件传输系统，并声明该子公司与母公司其他业务隔离，未波及更广泛的系统或数据。Sedgwick 已向执法部门报案并与受影响的联邦客户沟通。TridentLocker 自 2025 年 11 月出现，已攻击比利时邮政公司 bpost 并公布 12 起受害案例，持续针对美国政府承包商。

芬兰警方逮捕了Fitburg号货轮的两名船员，涉嫌在该船穿越芬兰专属经济区时损坏芬兰Elisa公司运营的海底电信电缆。该船来自俄罗斯等国，运送受欧盟制裁的钢铁产品。调查团队利用水下机器人、声纳等技术对海床进行勘察，并已对其他船员实施旅行禁令。此案发生在去年圣诞节油轮Eagle S破坏多条海底电缆后，凸显北欧地区对海底基础设施的紧密监管。

透明部落（APT36）近期针对印度政府、学术及战略部门发动新一轮远程访问木马（RAT）攻击。攻击链先以伪装成 PDF 的 LNK 快捷方式进行钓鱼投递，利用 mshta.exe 执行 HTA 脚本并加载内存中 RAT 负载，同时投放诱饵 PDF。恶意程序会根据目标机器检测到的杀毒软件选择不同持久化方式，并通过 iinneldc.dll 实现完整的远程控制功能。近期还发现其使用伪装政府 advisory 的快捷方式投放 .NET 加载器，下载 MSI 安装包并在系统启动后通过注册表和 LNK 持久化。上述活动均指向印度来源的国家支持威胁组织，展示了其在投递、持久化和 C2 通信上的高度定制与隐蔽性。

攻击面管理（ASM）工具往往通过发现更多资产来展示价值，但仅靠资产数量无法证明风险降低。文章指出，ASM 的 ROI 核心在于以结果为导向的度量：资产所有权确认时间、未认证且可改变状态的端点数量以及所有权丧失后的退役速度。通过这些指标衡量暴露持续时间和响应速度，组织才能真正看到风险下降，而不是单纯的资产增长。

研究人员发现，黑客利用 Google Cloud Application Integration 的 “发送邮件” 任务，以合法的 noreply-application-integration@google.com 地址发送钓鱼邮件，冒充企业通知。2025 年 12 月的两周内共投放 9,394 封邮件，覆盖约 3,200 家客户，涉及全球多个地区。攻击采用多阶段重定向：先引导至 storage.cloud.google.com，再转到 googleusercontent.com 的伪造验证码页面，最后呈现假冒微软登录页窃取凭证。目标行业包括制造、科技、金融等。Google 已封禁相关功能，强调将进一步防止滥用。

OpenAI 为已订阅 ChatGPT Plus（每月 $20）的用户提供一次免费试用一个月的机会。用户在取消订阅请求时可获赠免费月，续费后自动转为免费（$0），直至优惠结束后恢复付费。该优惠在部分地区逐步推出，用户需在账户的付款管理页面核实状态。

2026年首篇 ThreatsDay 简报汇总了全球范围内的多起安全事件，凸显攻击者从大规模泄漏转向精准小口子。包括伪装 KMSAuto 的剪贴板窃取恶意软件、针对 Adobe ColdFusion 的节假日漏洞利用、Android 平板预装后门、AI jailbreak 社区被封、GlassWorm 攻击 macOS、Meta 撤销诈骗广告的搜索结果、Unleash Protocol 合约升级被盗 390 万美元、迪士尼因儿童隐私违规被罚 1000 万美元、ErrTraffic 自动化 ClickFix 攻击工具、Magecart 转向身份信息窃取、黑客组织利用“可否认的”代理进行政治攻击、OceanLotus 适配中国 Xinchuang 平台、AWS IAM 延迟导致密钥持久化、IPCola 大规模代理网络以及 GhostAd 与 SkyWalk 广告软件对 Android 与 iOS 的资源消耗与欺诈。整体趋势显示威胁活动更隐蔽、更精准，提醒防御方需持续提升细粒度监测与响应能力。

研究人员披露了持续九个月的 RondoDox 僵尸网络活动，该网络利用严重的 React2Shell（CVE-2025-55182）漏洞在 IoT 设备和 Web 服务器上实现远程代码执行并植入恶意载荷。统计显示截至 2025 年底美国有逾 68,000 台受影响设备。RondoDox 通过分阶段的侦察、宽幅漏洞探测以及自动化部署，将加密货币矿工、加载器和 Mirai 变种注入目标，并使用 "/nuts/bolts" 清除竞争恶意软件以保持持久化。推荐立即更新 Next.js、隔离 IoT、部署 WAF 并监控可疑进程。

Adapt Browser 是一款轻量化、非 Chromium 架构的浏览器，主打降低 CPU 与内存占用、集中常用 Web 工具、简洁界面设计，以提升浏览速度并减少使用过程中的干扰。文章先阐述现代浏览器在性能和生产力上的常见痛点，随后提出四个改进步骤：削减资源开销、统一工作流、简化界面、智能窗口使用，并列举 Adapt 的核心特性及 AppEsteem 安全认证，推荐其作为提升工作效率的浏览器替代方案。

Trust Wallet Chrome 扩展在 2025 年 12 月被植入恶意更新 2.68 版，攻击者利用泄露的 GitHub 秘钥和 CWS API 密钥，直接上传带后门的扩展，窃取用户助记词并转走约 850 万美元资产，涉及 Shai‑Hulud 供应链攻击及其进化版 3.0。公司已启动赔偿并强化发布流程。

IBM发布了IBM API Connect身份认证系统的关键安全漏洞（CVE-2025-13915），CVSS评分高达9.8，属于身份验证绕过缺陷。受影响的版本包括10.0.8.0至10.0.8.5以及10.0.11.0。虽然目前未发现此漏洞被实际利用，IBM建议用户尽快从Fix Central下载并安装修补程序，若无法安装临时修复，则应禁用开发者门户的自助注册功能，以降低风险。

IBM公开了API Connect中一个严重的认证绕过漏洞（CVE‑2025‑13915），CVSS评分高达9.8。受影响的版本包括10.0.8.0‑10.0.8.5及10.0.11.0。IBM提供了修复补丁，并建议无法立即打补丁的用户关闭开发者门户的自助注册功能以降低风险。虽然暂无实战利用迹象，仍建议用户尽快部署修复。

美国财政部于2025年12月30日宣布解除对三名与Intellexa财团及其商业间谍软件Predator关联的个人的制裁，称其已提出复审申请并采取了与财团脱离的措施。此前，这三人分别于2024年因开发、运营和分发Predator被列入制裁名单。文章还回顾了Predator的隐蔽特性、持续的安全风险以及该间谍软件在全球范围内的滥用情况，呼吁对商业间谍软件加强监管。

新加坡网络安全局发布警报，披露 SmarterMail 邮件服务器中 CVE‑2025‑52691 漏洞，属最高危（CVSS 10.0）任意文件上传，可在未经身份验证的情况下实现远程代码执行。该漏洞影响 Build 9406 及以前版本，已在 Build 9413 中修复，建议用户升级至最新 Build 9483，以防止攻击者植入恶意二进制或 Web shell。

Silver Fox——一个活跃于2022年的中国网络犯罪组织，近期利用印度税务局为名的钓鱼邮件投放模块化远控木马 ValleyRAT（亦称 Winos 4.0）。攻击链包括诱导受害者打开伪装的 PDF，下载携带 NSIS 安装程序的 ZIP 包，利用 Thunder 下载管理器的合法 exe 进行 DLL 劫持，禁用 Windows Update 并加载 Donut 加壳器，最终将恶意载荷注入 explorer.exe。该组织还通过 SEO 毒化和假冒常用软件的下载链接进行广泛分发，目标涵盖公共、金融、医疗及科技等行业，受害者遍布亚太、欧洲和北美。

本文探讨了 AI 在安全运营中心（SOC）中的落地难点，指出多数组织在缺乏明确集成策略的情况下盲目使用 AI，导致效果有限。通过 SANS 2025 SOC 调查数据说明 40% 的 SOC 未将 AI/ML 融入正式流程，42% 直接使用未定制的工具。文章提出五大可行的 AI 应用场景：检测工程、威胁狩猎、软件开发与分析、自动化编排以及报告与沟通，并提供了“采用者、塑造者、创造者”三种角色模型，强调在明确任务边界、验证输出以及保持人工审查的前提下，才能实现 AI 对 SOC 能力、成熟度和人员效率的真正提升。

2025 年中期，代号 Mustang Panda（又名 HoneyMyte）的中国黑客组织利用一个未公开的内核模式根套件驱动程序，以伪造或泄露的数字证书签名的 minifilter 形式在亚洲目标机器上部署 TONESHELL 后门。该后门具备反向 shell 与下载器功能，并通过新建的 C2 基础设施（2024 年 9 月搭建）与受害主机通信，实现文件下载、上传、远程 shell 等多种操作。根套件还能动态解析内核 API、监控文件删除、阻止注册表操作、干扰 Microsoft Defender 驱动的加载顺序，以提升隐蔽性。此次攻击标志着 TONESHELL 首次通过内核模式加载器传播，进一步增强了其持久性与规避能力，提醒安全团队在内存取证与驱动层面加强检测。

本周安全情报聚焦多起活跃利用事件。MongoDB CVE‑2025‑14847（代号 MongoBleed）已在全球 87,000+ 实例被攻击；Trust Wallet Chrome 扩展因泄露的 API 密钥被植入恶意版本，导致约 700 万美元损失。中国 APT “Evasive Panda” 通过 DNS 投毒投送 MgBot 后门，针对土耳其、中国、印度等国。2022 年 LastPass 数据泄露的加密保险库备份被用于破解主密码，已窃取超 3500 万美元加密资产。Fortinet SSL‑VPN 老漏洞 CVE‑2020‑12812 再次被滥用，绕过双因素验证。npm 上的恶意 WhatsApp API 包可持续劫持帐号并在卸载后仍保持关联。其余报道包括 Cloud Atlas、BlackHawk、Cobalt Strike、Fly、EmEditor、Docker 硬化镜像等多项威胁与安全趋势，提示防御需同步更新并持续监控。

MongoDB 漏洞 CVE-2025-14847（代号 MongoBleed）因 zlib 压缩实现缺陷，使未经身份验证的攻击者可通过发送畸形压缩包读取服务器堆内存中的敏感数据。全球已发现逾 87,000 台可能受影响的实例，主要分布在美国、中国、德国、印度和法国，并已在野外活跃利用。Wiz、OX Security 等安全厂商指出攻击无需凭证或交互，建议立即升级至最新补丁并关闭 zlib 压缩，同时限制网络暴露。

安全研究员披露了一场持续性的定向网络钓鱼活动，攻击者在 npm 注册表发布了 27 个恶意包，利用 npm 与其 CDN 将伪装的文档共享和 Microsoft 登录页面植入钓鱼站点，从而窃取美国及盟国关键基础设施相关企业的销售和商务人员凭证。攻击者通过包 CDN 隐蔽托管、混淆 JavaScript、反沙箱检测以及隐藏表单字段等手段规避分析，并对 25 家制造、工业自动化、塑料、医疗等行业的目标进行精准投递。防御建议包括严格依赖验证、监控 CDN 请求、强制 MFA 以及监控异常登录后行为。

传统安全框架未能覆盖 AI 专属的攻击向量，导致即使通过审计、满足合规的组织仍频繁遭受攻击。案例包括 2024 年 Ultralytics AI 库被植入挖矿代码、ChatGPT 漏洞被用于提取对话记忆、2025 年 Nx 包利用 AI 助手窃取机密。现有的 NIST、ISO、CIS 控制未提供针对提示注入、模型投毒、AI 供应链等风险的防护指引。文章呼吁组织超越合规，建立 AI‑专用的安全能力，包括提示过滤、模型完整性验证、对抗鲁棒性测试以及 AI 供应链审计，以应对日益扩大的 AI 攻击面。

Trust Wallet Chrome 扩展 2.68 版被注入恶意代码，攻击者利用 PostHog 分析库窃取用户助记词并将其发送至自建服务器，导致约 700 万美元加密资产被盗。约 1 百万用户受影响，已确认约 2596 个钱包被窃，资产包括约 300 万美元比特币、300 万美元以太坊等，随后通过中心化交易所和跨链桥洗钱。Trust Wallet 已紧急发布 2.69 版更新并启动赔偿流程，提醒用户仅通过官方渠道操作，警惕诈骗。

Kaspersky 将一支与中国关联的APT组织“规避熊猫”（亦称 Bronze Highland、Daggerfly、StormBamboo）归因于2022‑2024 年针对土耳其、中国、印度的高级网络间谍行动。攻击者利用 DNS 投毒实施中间人攻击，将伪装成第三方软件更新的 MgBot 恶意后门送达受害者，并通过自研加密加载器、定向 DNS 响应、定制混合加密等手段实现持久化和隐蔽性。该活动展示了该组织在供应链、路由器/防火墙植入及水洞攻击方面的成熟能力。

LangChain Core 被发现存在 CVE‑2025‑68664 序列化注入漏洞（代号 LangGrinch），攻击者可在 dumps() / dumpd() 函数中利用未转义的 ‘lc’ 键构造恶意对象，实现机密泄露、环境变量读取、受信任命名空间类实例化，甚至通过 Jinja2 模板触发任意代码执行。此外，攻击者还能通过提示注入在 metadata、additional_kwargs、response_metadata 等字段注入对象，影响 LLM 响应。漏洞影响 1.0.0‑<1.2.5、<0.3.81 等多个旧版，已在 1.2.5、0.3.81 及对应的 JavaScript 包中修复，补丁引入 allowlist、默认关闭 secrets_from_env 并阻止 Jinja2。建议用户尽快升级至已修复版本。

本期 ThreatsDay 汇总了近期的多起安全趋势：攻击者利用开源监控工具 Nezha 实现后渗透访问；韩国将对新 SIM 号进行人脸识别；Android NFC 恶意软件激增并融合远程访问功能；假 PoC 诱导下载 WebRAT；GuLoader 恶意加载器在欧洲多国大幅上升；Eurostar AI 聊天机器人存在提示注入漏洞；多个数据库与容器运行时出现关键零日；新型加载器针对制造业与政府机构投放多种恶意软件；Microsoft Teams 将默认启用消息安全防护；Docker AI 助手被发现可受提示注入攻击；IoT 设备可绕过防火墙实现静默接管；针对以色列的钓鱼使用防病毒图标伪装；NtKiller 工具在黑客论坛出售，可静默终止 EDR；AI 代理在区块链智能合约中发现 460 万美元的漏洞；北韩 ScarCruft 通过恶意 HWP 文件投递 RokRAT；CopyCop 利用 AI 大规模生成假新闻；SHADOW-VOID-042 伪造 Trend Micro 更新进行钓鱼。这些案例显示攻击已从显眼的漏洞利用转向伪装为日常工具与 AI 的隐蔽渗透，提醒安全团队提升对常规业务流程的监控与 AI 风险的认知。

Fortinet 警告 CVE-2020-12812 SSL VPN 两因素认证绕过漏洞在野外被多方威胁组织主动利用。攻击利用本地用户启用 2FA 且指向 LDAP 的配置，利用用户名大小写不一致导致 FortiGate 转向 LDAP 进行认证，从而绕过 2FA。Fortinet 已发布补丁并提供关闭用户名大小写检查的命令，建议用户升级至最新固件或执行相应配置以阻止绕过。

美国网络安全与基础设施安全局（CISA）将影响 Digiever DS-2105 Pro 网络摄像机录像机的 CVE-2023-52163 漏洞列入已知被利用漏洞（KEV）目录，确认该缺陷正被活跃利用。该漏洞为缺失授权的命令注入，可在登录后实现远程代码执行，已被用于传播 Mirai 与 ShadowV2 僵尸网络。由于设备已进入寿命终止，厂商未提供补丁，建议用户不将设备暴露于互联网、修改默认凭据，或在 2025 年 1 月 12 日前停止使用。

ESET 报告称，利用 AI 深度伪造视频的 Nomani 投资诈骗在社交媒体上增长 62%，并已从 Facebook 扩展至 YouTube 等平台。攻击者通过逼真的视频、虚假新闻及冒充 Europol/INTERPOL 的钓鱼手段骗取资金，并利用社交媒体广告工具隐藏踪迹。尽管 2025 年下半年检测数量下降，执法力度仍在加强；路透社亦指 Meta 在中国的广告中有大量诈骗内容，凸显问题规模。

2025年数据显示，中小企业已成为数据泄露的主要目标，约70%案件涉及1‑249员工的公司，攻击者通过大企业强化安全转向攻击资源有限的SMB。文中列举了三起典型泄露事件，并总结出趋势：姓名、联系方式被大量曝光，零售、科技、媒体行业受冲击最大。针对2026年，文章提出三项关键防护措施：启用双因素认证、实施最小特权的访问控制并配合强密码管理，以及使用安全密码管理器统一存储敏感凭证，帮助企业降低泄露风险。

SEC指控多家公司通过虚假AI投资建议诱骗美国散户，涉及三家加密交易平台和四个WhatsApp投资俱乐部，诈骗金额超过1400万美元。受害者资金被转入海外账户，部分为加密资产、部分为法币。SEC正追讨返还并请求民事处罚。

意大利竞争局因苹果在 iOS 上实施的 App 跟踪透明度（ATT）框架，对第三方开发者施加双重同意要求，导致竞争受限，对其处以 9860 万欧元罚款。监管机构认定苹果虽有保护用户隐私的正当目的，但其强制性、繁琐的同意流程对开发者不成比例，侵害了公平竞争。苹果表示将对决定提起上诉，并坚持强隐私保护。此次罚款继 2025 年因同类原因在法国被罚 1.5 亿欧元后，再次凸显欧盟对大型平台滥用支配地位的监管力度。

安全研究员发现两款同名 Chrome 扩展（Phantom Shuttle），通过伪装 VPN 订阅服务，以 9.9–95.9 元人民币售卖。安装后，扩展自动启用“smarty”代理模式，将超过 170 个高价值站点的流量经由攻击者控制的代理并实施中间人劫持，持续向其 C2 服务器发送包含明文凭证的心跳信息，实现凭证、浏览记录、API 密钥等大量数据的窃取。该行为通过修改捆绑的 JavaScript 库实现硬编码代理凭证注入，并利用 PAC 脚本切换三种代理模式。研究指出，此类扩展构成企业未受管控的风险层，建议尽快卸载并实施扩展白名单与网络监控。

INTERPOL在非洲发动“哨兵行动”，与19个国家合作追回300万美元并逮捕574名嫌疑人，清除6000余条恶意链接并解密六种勒索软件，针对金融、能源等关键行业的网络犯罪进行大规模打击。此外，行动摧毁了针对加纳金融机构的勒索案和跨加尼·尼日利亚的网络诈骗网络。与此同时，乌克兰勒索软件关联者Artem Stryzhak在美国认罪，另一名管理员Volodymyr Tymoshchuk仍在通缉。

Passwd 是专为 Google Workspace 企业打造的密码管理工具，采用 AES‑256 加密、零知识架构，并已通过 SOC2 与 GDPR 合规。它深度集成 Google 身份，支持 Web、浏览器扩展及移动端，可实现密码、SSH 密钥、API 凭证等的安全共享与审计，提供多层授权、审计日志以及可扩展的企业定价方案，适合已在 Google Workspace 环境中运营的组织。

美国司法部查封了用于银行账户接管诈骗的域名 web3adspanels.org，并扣押了包含上千条被盗银行登录凭证的数据库。该诈骗已波及约19名受害者，导致约1460万美元实际损失。美国联邦调查局称，仅2025年起已收到5100多起相关投诉，损失超过2.62亿美元。部门提醒公众谨慎分享个人信息、使用强密码并警惕钓鱼攻击。

美国联邦通信委员会（FCC）本周宣布，根据2025年《国防授权法案》，将所有在外国生产的无人机系统及关键部件列入《覆盖清单》，并全面禁止其在美市场销售，重点针对中国制造的DJI、Autel 等品牌。此举旨在消除来自犯罪、敌对势力和恐怖组织的无人机安全威胁，保障即将举行的2026年世界杯及2028年奥运会期间的空域主权。除非国土安全部认定风险可接受，否则相关设备必须在美国生产；已购消费者仍可使用已有设备。

研究人员发现 npm 上的恶意包 “lotusbail” 伪装成完整的 WhatsApp API，已被下载超过 56,000 次。该包会窃取 WhatsApp 凭证、拦截所有消息、收集联系人、媒体文件并植入持久后门，同时通过硬编码配对码劫持设备链接，实现对受害者账户的长期控制，并具备反调试的无限循环陷阱。该攻击利用合法的 @whiskeysockets/baileys 库伪装，静态分析难以检测。此外，文中还披露了 14 个针对加密生态的恶意 NuGet 包，伪装成区块链和广告工具窃取资金和凭证。

本周网络威胁集中于防火墙产品漏洞被攻击、AI 浏览器插件窃取聊天内容、Android 电视僵尸网络、APT 组织利用未修补的网络缺陷以及内部泄漏。大量新曝光的 CVE 均被快速利用，提醒组织及时修补、强化监控、审查可信工具，以防止低调且持久的渗透。

乌兹别克斯坦的移动攻击中出现了名为Wonderland的Android短信窃取恶意软件，攻击者使用伪装成合法应用的投放器（如MidnightDat、RoundRift）进行分发，并通过Telegram协调。该恶意软件具备双向C2、USSD请求、短信盗取、OTP拦截及远程控制等功能，还可利用伪装的Google Play页面、社交媒体广告等手段大规模传播。文章还提及近期出现的Cellik、Frogblight、NexusRoute等新型Android RAT，显示Android恶意软件正向更高的隐蔽性和模块化发展。

伊朗的 Infy（波斯王子）APT组织在沉寂近五年后再次活跃，使用升级版的 Foudre 下载器和 Tonnerre 植入式恶意软件，对伊朗、伊拉克、土耳其、印度、加拿大及欧洲等地区的个人目标实施监控。攻击链从宏宏的 Excel 文件转向嵌入式可执行文件，并采用域生成算法（DGA）和 RSA 签名验证提升 C2 基础设施的韧性。同时，最新的 Tonnerre 可通过 C2 服务器与特定的 Telegram 群组交互，利用专用的 GUID 白名单机制进行控制。研究还披露了多种历史变体和关联的恶意软件，表明该组织仍具高度危害性。

Proofpoint 将自 2025 年 9 月起持续的针对美欧政府、智库和高校的攻击归因于一个与俄罗斯关联的组织 UNK_AcademicFlare。该组织使用受害者已被入侵的政府/军方邮箱发送钓鱼邮件，诱导用户点击伪装的 OneDrive 链接并通过 Microsoft 365 设备代码认证流程获取访问令牌，实现账户劫持。攻击手法已被 Microsoft、Volexity 以及其他情报机构多次披露，并被多类威胁团伙（包括 TA2723）利用。防御建议是通过条件访问策略阻止设备代码流，或采用白名单方式仅对特定用户、系统或 IP 允许此认证方式。

研究人员披露了两条新型恶意软件传播链：利用破解软件分发站点的 CountLoader 通过伪装的 Word 安装包传播，具备 USB 传播、内存执行和多种下载功能，并最终投送信息窃取器 ACR Stealer；另一链路是通过被攻陷的 YouTube 账户（YouTube Ghost Network）分发的 GachiLoader，使用 Node.js 编写并可注入合法 DLL，亦能投放其他负载如 Kidkadi 和 Rhadamanthys，甚至关闭 Microsoft Defender。两者均展示了加载器的演进和文件无痕执行技术的提升。

WatchGuard 发布了针对 Fireware OS VPN 中 CVE-2025-14733 严重漏洞的修补程序，该漏洞为 iked 进程的越界写入，可让未经认证的远程攻击者执行任意代码。公司确认攻击已在野外活跃，攻击源自多个 IP 地址，并提供了 IoC 供检测。受影响的版本包括 2025.1、12.x、12.5.x、12.3.1 等。CISA 已将该漏洞列入 KEV 并要求联邦机构在 12 月 26 日前修补。Shadowserver 统计显示全球约有 117,490 台公开的 WatchGuard 设备受影响，其中超过 35,600 台在美国。建议用户尽快更新并对 BOVPN 配置进行临时缓解。

尼日利亚警方在与微软、FBI合作的行动中，逮捕了 RaccoonO365 钓鱼即服务（PhaaS）平台的主要开发者 Okitipi Samuel（又名 Moses Felix），并查获其用于出售钓鱼链接的 Telegram 频道、相关设备及 338 个被封域名。该平台自 2024 年起在 94 国盗取逾 5,000 条 Microsoft 365 凭证，导致商业邮件欺诈、数据泄露等多起安全事件。同时，微软与 Health‑ISAC 对相关嫌疑人提起民事诉讼，指控其利用盗取数据进行进一步诈骗。

Riot Games 研究员发现，多款使用 Intel 和 AMD 芯片组的 ASRock、ASUS、GIGABYTE、MSI 主板在 UEFI 实现中存在早启动 DMA 保护缺失漏洞，导致 IOMMU 在关键启动阶段未被正确初始化。受影响的主板对应 CVE‑2025‑14304、CVE‑2025‑11901、CVE‑2025‑14302、CVE‑2025‑14303，CVSS 均为 7.0。攻击者只需物理接触即可在操作系统加载前通过 PCIe 设备读取或修改内存，可能注入代码或窃取敏感信息。厂商已发布固件更新修复，建议尽快打补丁，并在物理访问受限的环境中加强硬件安全防护。

ESET 发现名为 LongNosedGoblin 的亲中威胁组织自 2023 年 9 月起针对东南亚和日本政府部门发动网络间谍活动。其利用 Windows 组策略和云存储（OneDrive、Google Drive、Yandex Disk）作为 C2，部署包括 NosyHistorian、NosyDoor、NosyStealer 等在内的自制 .NET 工具链，并通过 AppDomainManager 注入实现精准投放。该组织的工具与其他已知团伙有细微重叠，且部分恶意软件可能已在威胁团体之间共享或出售。